近年来，越来越多的网络安全事件告诉我们，安全风险比以往更加难以察觉。随着网络 安全形势逐渐恶化，网络攻击愈加频繁，客户对自己的网络安全建设变得越来越不自信。如 何加强安全建设？安全建设的核心问题是什么？采用何种安全防护手段更为合适？这些问 题已成为困扰客户安全建设的关键问题。

 

问题一：

看不看得到真正的风险？ 一方面，只有看到 L2-L7 层的攻击才能了解网络的整体安全状况，基于多产品的组合方 案使大多数用户没有办法进行统一分析，也就无法快速定位安全问题，同时也加大了安全运 维的工作量。另一方面，没有攻击并不意味着业务不存在漏洞，一旦漏洞被利用就为时已晚。 好的解决方案应能及时发现业务漏洞，防患于未然。最后，即使有大量的攻击也不意味着业 务安全威胁很大，只有针对真实存在的业务漏洞进行的攻击才是有效攻击。看不到有效攻击 的方案，就无法让客户看到网络和业务的真实安全情况。

 

问题二：

防不防得住潜藏的攻击？ 一方面，防护技术不能存在短板，存在短板必然会被绕过，原有设备就形同虚设；另一 方面，单纯防护外部黑客对内网终端和服务器的攻击是不够的，终端和服务器主动向外发起 的流量中是否存在攻击行为和泄密也需要检测，进而才能找到黑客针对内网的控制通道，同 时发现泄密的风险，最后通过针对性的安全防护技术加以防御。

 

综上所述，真正能看到攻击与业务漏洞，及时查漏补缺，并能及时防住攻击才是最有效 的解决方案。那么基于攻击特征防护的传统解决方案是否真的能够达到要求呢？ 传统组合方案（FW+IPS+WAF）能否满足？

 

组合方案不足点一：

有几款设备就可以看到几种攻击，但由于信息是割裂的难以对安全 日志进行统一分析；有攻击才能发现问题，在没有攻击的情况下，就无法看到业务漏洞，但 这并不代表业务漏洞不存在；即使发现了攻击，也无法判断业务系统是否真正存在安全漏洞， 还是无法指导用户进行安全建设。

 

组合方案不足点二：

有几种设备就可以防护几种攻击，但大部分客户无法全部部署，所 以存在短板；即使全部部署，这些设备也不对服务器和终端向外主动发起的业务流进行防护， 在面临新的未知攻击的情况下缺乏有效的防御措施，还是存在被绕过的风险。

 

传统组合方案问题多  

其他品牌的下一代防火墙能否解决问题？ 目前，市场上的大部分下一代防火墙产品只能看到除 Web 攻击以外的大多数攻击，只 有极少部分下一代防火墙能够看到简单的 Web 攻击，但均无法看到业务的漏洞。攻击和漏 洞无法关联就很难确定攻击的真实性；另外，大部分下一代防火墙防不住 Web 攻击，也不 能对服务器/终端主动向外发起的业务流进行防护，比如信息泄露、僵尸网络等，应对未知 攻击的方式比较单一，只通过简单的联动防护，仍有被绕过的风险。